2.1.28

Một lỗi uỷ quyền mà phép kiểm tra sức khoẻ không thấy được, và định dạng khoá giấy phép được hoàn thiện.

Đã sửa​

• Một vùng có các nameserver là CNAME bị báo là khoẻ mạnh. RFC 2181 không cho phép đích của một bản ghi NS là một bí danh, nên một bộ phân giải tuân thủ quy tắc không dùng được câu trả lời: vùng trông như chết từ internet trong khi máy chủ này đang phục vụ nó hoàn hảo. Kiểm tra uỷ quyền so sánh tên nameserver, và các tên khớp nhau, nên nó qua — đó là dạng tệ nhất một phép kiểm tra có thể có. Nó trả lời tự tin về thứ đang hỏng và gọi nó là ổn.

  Giờ có một phép kiểm tra thứ hai. Nó hỏi liệu mỗi nameserver được uỷ quyền có chuyển được thành một địa chỉ hay không và liệu nó có được phép như vậy không, và nó nêu cách khắc phục trong vùng chứa nameserver — không phải trong vùng đang được kiểm tra, phần mà không hiển nhiên khi một trình kiểm tra bên ngoài chỉ vào tên miền của bạn. Một nameserver không có địa chỉ được báo riêng.

• Bảng vùng DNS không hiển thị các bản ghi của chính vùng. SOA và các bản ghi NS ở đỉnh vùng được phân tích rồi bỏ đi. Nên một quản trị viên mà việc uỷ quyền vừa thất bại có thể mở vùng và không biết nó tuyên bố những nameserver nào — điều đầu tiên mà câu hỏi đó cần. Giờ chúng được hiển thị, đánh dấu là Managed thay vì sửa được: số serial được ghi lại ở mỗi lần lưu, và một NS ở đỉnh vùng sửa ở đây sẽ mâu thuẫn với nhà đăng ký thay vì thay đổi nó.

Đã thay đổi​

• Khoá giấy phép không còn dùng base64. Không phải vì nó yếu — nó là một phép mã hoá, không phải một biện pháp bảo mật, và base32 thay thế nó cũng vậy — mà vì nó là bảng chữ cái sai cho thứ mà một người xử lý. Base64 phân biệt hoa thường và mang +, / và =, nên một khoá sống sót qua một lần sao chép-dán sẽ không còn sống sót qua một cuộc gọi hỗ trợ, một ô bảng tính hay một URL. Giờ một khoá là chữ hoa và chữ số, theo nhóm tám ký tự.

• Một khoá gõ sai được phân biệt với một khoá giả mạo. Năm byte SHA-256 kết thúc mọi khoá, nên một ký tự sai được trả lời "một phần đã mất trên đường tới đây, hãy sao chép lại" thay vì "chữ ký không khớp". Hai điều đó đưa quản trị viên tới hai nơi khác nhau, và trước đây cả hai nhận cùng một câu.

Đã thêm​

• Công cụ cấp khoá của nhà cung cấp, và khoá công khai mà cả hai panel kiểm tra với. Không điều gì trong đó đổi bản cài nào đang là gì: một máy chủ giữ khoá giấy phép là Enterprise, một máy không có khoá là Community, và điều đó được quyết định ngoại tuyến như trước.

Ghi chú​

Không có gì để di chuyển. Tập lệnh cập nhật chạy phép kiểm tra nameserver mới một lần trên mọi vùng mà máy chủ này lưu trữ, nên một người vận hành có uỷ quyền hỏng biết ngay hôm nay thay vì lần tới khi ai đó tình cờ mở trang sức khoẻ của tên miền đó. Nó chỉ đọc và không thay đổi gì — lỗi mà nó tìm luôn nằm trong một vùng mà máy chủ này không có việc ghi vào.

Vì sao chữ ký vẫn là Ed25519. Hậu lượng tử đã được đo thay vì giả định. ML-DSA (FIPS 204) có trong bản phát hành Go dùng để build, và nó làm một khoá giấy phép dài từ 4.000 tới 7.500 ký tự — không phải thứ ai đó dán vào một ô giấy phép. Ed25519 là EdDSA trên SHA-512, một khẳng định mạnh hơn so với riêng một giá trị băm SHA-256, và khoá tự nêu sơ đồ của nó trong tiền tố, nên chuyển sau này là một tiền tố mới thay vì một cuộc di chuyển.